Windsurf、changelogが実質Devin Desktopに統合VS Codeで公表されたRestricted Modeの脆弱性CVE-2026-81376も修正

2026年9月25日昼(日本時間)時点で https://windsurf.com/changelog を開くと、HTTPステータス308で https://docs.devin.ai/desktop/changelog へ転送され、表示されるのは「Devin Desktop changelog」というページだ。Windsurfの変更履歴の入口は、URLのレベルでCognitionのDevin Desktopの変更履歴に置き換わっている。そのchangelogによると、2026年9月16日公開のv3.10.31で、Restricted Mode(信頼していないワークスペースを開いたときに使われる保護モード)が、制限対象のワークスペース設定を「ネストしたオブジェクト形式」で書かれると止められていなかった問題が修正され、CVE-2026-81376が付記されている。この番号はMicrosoftが2026年9月8日に公表したVisual Studio Code(VS Code)の脆弱性のもので、VS Code側では同じ修正に対してCVE-2026-70334も割り当てられている。

3行まとめ

1. windsurf.com/changelogは2026年9月25日確認時点で、HTTPステータス308により https://docs.devin.ai/desktop/changelog (Devin Desktop changelog)へ転送される
2. 同changelogによると、2026年9月16日公開のv3.10.31で、ネスト形式で書かれた制限対象のワークスペース設定をRestricted Modeが止められていなかった問題が修正され、CVE-2026-81376が付記された
3. CVE-2026-81376はMicrosoftが9月8日に公表したVS Codeの脆弱性(CVSS 9.6)で、VS Code側は同じ修正にCVE-2026-70334(CVSS 7.8)も割り当てている。Devin Desktopのchangelogに載っている番号は81376だけだ

転送・修正・CVE番号の記録一覧

windsurf.com/changelogは今、Devin Desktopの変更履歴になっている

Cognitionは2025年7月14日付の自社ブログで「Cognition has signed a definitive agreement to acquire Windsurf, the agentic IDE.」(CognitionはエージェントIDEのWindsurfを買収する最終契約を結んだ)と発表した。その後、Devin Desktop changelogのv3.0.12(2026年6月2日公開)に「Windsurf is now Devin Desktop.」の1行が入り、同じ日付のCognitionのブログ「Windsurf is now Devin Desktop」はDevin Desktopを「the next generation of Windsurf」(Windsurfの次の世代)と紹介している。Windsurf(Devin Desktop)の使い方と料金は既存記事「Windsurf(旧Codeium)の使い方・料金」にまとめている。

当サイトが9月25日にcurlで確かめたのは、この改称が変更履歴のURLにも及んでいる点だ。旧ブランドのURLである windsurf.com/changelog へアクセスすると、ページの中身がDevin Desktop風に作り替えられているのではなく、HTTPステータス308(恒久的リダイレクト)でURLそのものが docs.devin.ai/desktop/changelog へ転送される。転送先のページタイトルは「Devin Desktop changelog」、副題は「Release notes for every Devin Desktop (Windsurf) stable release: new features, improvements, and fixes in each version of the agent-native editor.」(Devin Desktop〈Windsurf〉の全安定版のリリースノート。各版の新機能・改善・修正)だ。ページ冒頭の見出しと副題に限れば、Windsurfという名前は副題のカッコ書きに残るだけになっている。一方で、「Windsurf 2.0」の項のように改称前の版の記述には旧名がそのまま多数残っている。

v3.10.31(9月16日)で直されたのはRestricted Modeのすり抜け

Devin Desktop changelogのv3.10.31(2026年9月16日公開)には次の1行がある。

"Restricted Mode blocks restricted workspace settings written in nested object form, not just the dotted form (CVE-2026-81376)."

(訳:Restricted Modeは、ドット区切り形式だけでなくネストしたオブジェクト形式で書かれた制限対象のワークスペース設定もブロックするようになった。CVE-2026-81376。)

Restricted Modeは、信頼していないワークスペースを開いたときに、その中身がコマンドやコードを実行しないよう保護するモードだ(VS CodeのアドバイザリGHSA-r2gr-w3c8-wvqvの説明による)。Devin Desktop側では、同じchangelogの2026年7月29日公開のv3.6.21とv3.6.22に、Restricted Modeで開いている間はCascade・Devin Local・その他のACPエージェントが使えずフックも読み込まれないこと、ワークスペースを信頼すると再び有効になることが書かれている(2つの版の記述をまとめた要約)。

changelogの1行が指している中身は、VS Code側の記録を読むと具体的になる。VS CodeのGitHubリポジトリ(microsoft/vscode)に2026年9月8日付で立てられたissue #335112と、アドバイザリGHSA-q2f8-hh8x-wpc2によると、VS Code 1.136.1以前では、ワークスペースの .vscode/settings.json に制限対象の設定をドット区切り("terminal.integrated.allowInUntrustedWorkspace": true)で書くと正しく拒否されるが、同じ設定をネストしたオブジェクト({"terminal":{"integrated":{"allowInUntrustedWorkspace":true}}})で書くと、Restricted Modeのままでも適用されてしまっていた。同issueは原因を、Workspace Trustの絞り込みがJSONの最上位のキーしか設定の登録簿と照合していなかったためと説明している。細工したワークスペースを開かされると、信頼を与えていないのに攻撃者の用意した制限対象の設定が適用され、コード実行や設定の改ざんにつながりうる、とも書かれている。

CVE-2026-81376はVS Code側の番号で、同じ修正にもう1件付いている

CVE-2026-81376の記録(cve.orgとNVD)を引くと、採番したのはMicrosoftで、タイトルは「Visual Studio Code Security Feature Bypass Vulnerability」、影響範囲はVS Code 1.0.0以上1.136.2未満、公表は2026年9月8日だ。Microsoftが付けたCVSS 3.1の基本値は9.6(Critical)。同じ記録に付いたCISAの評価(2026年9月9日時点)では、悪用(Exploitation)は「none」となっている。Devin Desktopは、同じchangelogのv3.6.21(2026年7月29日公開)に「Updated the base IDE to VS Code 1.126」とあるとおりVS Codeを土台にしたエディタで、v3.10.31の修正は土台のVS Code側で公表された脆弱性への対応と読める。

ただしVS Code側では、issue #335112と修正コミット0684cb5に対してアドバイザリが2件出ている。

ネスト形式のすり抜けをタイトルに掲げているのはCVE-2026-70334のほうだ。CVE-2026-81376のアドバイザリは、細工したワークスペースがRestricted Modeのまま攻撃者の管理するサービスへVS Codeを接続させる問題として説明し、「the user does not need to grant trust to the workspace for exploitation to occur」(悪用にユーザーがワークスペースを信頼する操作は要らない)と書いている。そのうえで修正については「ensures that restricted workspace settings are correctly identified and filtered when processing nested configuration objects」(ネストした設定オブジェクトを処理するときも、制限対象のワークスペース設定を正しく識別して除外する)と説明しており、両アドバイザリとも修正として同じコミット0684cb5を挙げている。

Devin Desktopのchangelogに書かれているCVE番号はCVE-2026-81376の1件だけで、CVE-2026-70334には触れていない(当サイトが9月25日に取得したchangelogの全文を「CVE-」と「70334」で検索し、該当は81376の1件だけだった)。

更新が要るのは誰か

Devin Desktop changelogの副題が「Devin Desktop (Windsurf)」と併記し、v3.0.12で「Windsurf is now Devin Desktop.」と書いているとおり、WindsurfとDevin Desktopは同じアプリの改称前後の名前にあたる。changelogに従えば、この修正はDevin Desktop v3.10.31以降に入っている。Windsurfの名前のまま古い版を使い続けている場合を含め、v3.10.31より前の版にはこの修正が入っていないことになる。どの版からこの問題の影響を受けていたかは、changelogには書かれていない。

VS Codeそのものについては、両アドバイザリが修正版を1.136.2とし、それ以降への更新を求めている。回避策としては、信頼できない出所のワークスペースを開かないこと、Workspace Trustを有効のままにして見知らぬワークスペースに信頼を与えないことを挙げたうえで、これらは更新の代わりにはならないとしている。

v3.10.31より後には、2026年9月24日公開のv3.10.35が出ている(9月25日確認時点の最新版)。v3.10.35の変更点はApple M6チップのMacでの起動クラッシュ修正やメモリリーク修正などで、CVE-2026-81376に関する追加の記載はない。

この記事の確認で埋まらなかった点

• Devin Desktopのどの版からこの問題の影響を受けていたか(changelogに導入時期の記載はない。VS Code側の記録では影響範囲はVS Code 1.0.0以上1.136.2未満)
• Devin Desktop v3.10.31が、ネスト形式のすり抜けとして公表されたCVE-2026-70334にも対応しているか(VS Code側では2件のアドバイザリが同じ修正コミットを挙げているが、Devin Desktopのchangelogに書かれた番号は81376だけで、本記事はDevin Desktopの実物で確かめていない)
• 例に挙がった terminal.integrated.allowInUntrustedWorkspace 以外に、ネスト形式で書くと適用されてしまう制限対象の設定がどれだったか(アドバイザリとissueに載っている例はこの1つ)
• CVE-2026-81376のアドバイザリが書く「攻撃者の管理するサービスへの接続」が、具体的にどの設定を通じて起きるのか(アドバイザリに具体名はない)

取得したページと日時(2026年9月25日・日本時間)

• windsurf.com/changelog:curlでHTTPステータス308と転送先URLを確認
• Devin Desktop changelog:v3.0.12・v3.6.21・v3.6.22・v3.10.31・v3.10.35を含む全文を取得
• Recent Updates(docs.devin.ai):Devinの更新情報ページ。Devin Desktop changelogとは別ページで、今回取得した本文にCVE-2026-81376やRestricted Modeへの言及はなかった
• Cognition's acquisition of Windsurf(2025年7月14日付の買収発表)とWindsurf is now Devin Desktop(2026年6月2日付)
• VS Code側: issue #335112、GHSA-q2f8-hh8x-wpc2、GHSA-r2gr-w3c8-wvqv
• CVE-2026-81376とCVE-2026-70334の記録:cve.orgとNVDのAPIで取得(CVE-2026-81376のNVDページ)